MENU

    NICTが情報漏えいの一因を特定、公開アプリの解析からサーバを狙うA2B攻撃

    Web Designing記者が、Webに携わる人向けにニュースをピックアップ。話題の本質を整理し、実務に役立つポイントをコンパクトにまとめました。

    公開アプリの入手・解析から攻撃対象の特定、攻撃の実行、サーバの脆弱性悪用による情報漏えいまでを示すA2B攻撃の流れ
    配布中のアプリからサーバの接続先や通信方法を読み取り、その情報を攻撃に使う手口への対策を促しています

    国立研究開発法人情報通信研究機構（NICT）は10月13日、Androidアプリを解析して接続先サーバを狙う攻撃手法を特定したと発表しました。国内で相次ぐ情報漏えいの原因の1つで、「A2B攻撃（App-to-Backend Attack）」と名付けて注意を促しています。

    攻撃者は配布中のアプリを入手し、内部を解析します。そこでサーバの接続先やAPIの仕様を調べ、そのシステムに合わせた攻撃を仕掛けます。事業者が非公開だと考えていた仕様もアプリから知られる可能性があり、サーバに弱点が残っていれば、個人情報などの漏えいにつながるおそれがあります。

    NICTは、iOSアプリやWebサービスのAPIでも同様の問題が起こり得ると説明しています。AIの活用で解析や弱点の発見が効率化され、攻撃が広がる可能性も指摘しました。

    公開資料には、侵入された形跡の確認、脆弱性の点検、修正までの暫定的な対策を掲載しています。アプリを公開する事業者に対し、開発・運用の委託先や専門事業者と対応を進めるよう求めています。

    WD Editor’s Eye｜編集部の視点

    アプリや会員サイトを制作・運用する担当者は、利用者情報を守る仕組みを開発側に確認したいところです。接続先が知られても、本人確認やアクセス権限のチェックで不正な情報取得を防げる設計かどうか。委託先との確認事項に加えておきましょう。

    文：小平淳一

    ニュース
    • URLをコピーしました！
    目次